Kritische Magento-Sicherheitslücken: Adobe schließt CVSS-10.0-Schwachstelle und zehn weitere Sicherheitsprobleme
Magento Sicherheitslücke CVE-2026-103849 ist eine kritische Schwachstelle in Adobe Commerce und Magento Open Source mit der maximalen CVSS-Bewertung von 10.0. Adobe hat am 13. Oktober 2026 das Sicherheitsbulletin APSB26-153 veröffentlicht und damit insgesamt elf Sicherheitslücken behoben. Die schwerwiegendste Schwachstelle kann es Angreifern ermöglichen, ohne Authentifizierung beliebigen Code auszuführen. Betreiber von Magento-Onlineshops sollten ihre installierten Versionen überprüfen und die entsprechenden Sicherheitsupdates schnellstmöglich installieren.
Fünf der elf behobenen Schwachstellen werden als kritisch eingestuft. Eine erfolgreiche Ausnutzung kann unter anderem zur Ausführung beliebigen Codes, zur Erweiterung von Benutzerrechten, zu unbefugten Dateiänderungen oder zur Umgehung wichtiger Sicherheitsmechanismen führen.
Was ist die Magento Sicherheitslücke CVE-2026-103849?
Die Magento Sicherheitslücke CVE-2026-103849 entsteht durch eine unzureichende Neutralisierung spezieller Zeichen und Elemente innerhalb einer Template-Engine.
Diese Art von Sicherheitsproblem wird als CWE-1336 bezeichnet: Improper Neutralization of Special Elements Used in a Template Engine.
Template-Engines werden verwendet, um dynamische Inhalte innerhalb einer Webanwendung zu erzeugen.
Wenn dabei nicht vertrauenswürdige Eingaben unzureichend verarbeitet werden, können Angreifer unter bestimmten Umständen die Verarbeitung manipulieren.
Im Fall von CVE-2026-103849 kann dies zur Ausführung beliebigen Codes innerhalb der betroffenen Anwendungsumgebung führen.
Adobe bewertet die Schwachstelle mit dem maximalen CVSS-3.1-Wert von 10.0.
Für eine erfolgreiche Ausnutzung sind laut Adobe weder eine Authentifizierung noch eine Interaktion durch einen angemeldeten Benutzer erforderlich.
Die Schwachstelle kann über das Netzwerk angegriffen werden und weist eine geringe Angriffskomplexität auf.
Dadurch stellt sie insbesondere für öffentlich erreichbare Onlineshops ein erhebliches Sicherheitsrisiko dar.
Adobe behebt elf Sicherheitslücken in Magento und Adobe Commerce
Das Sicherheitsbulletin APSB26-153 umfasst insgesamt elf Schwachstellen in Adobe Commerce, Adobe Commerce B2B und Magento Open Source.
Fünf davon werden als kritisch eingestuft:
- CVE-2026-103849 – CVSS 10.0: Unzureichende Verarbeitung spezieller Elemente innerhalb einer Template-Engine. Eine Ausnutzung kann ohne Authentifizierung zur Ausführung beliebigen Codes führen.
- CVE-2026-92909 – CVSS 9.8: Fehlerhafte Autorisierung innerhalb von Adobe Commerce B2B. Angreifer können unter bestimmten Bedingungen ohne Anmeldung beliebigen Code ausführen.
- CVE-2026-91013 – CVSS 9.3: Gespeichertes Cross-Site-Scripting (Stored XSS), das zur Erweiterung von Benutzerrechten führen kann.
- CVE-2026-100133 – CVSS 9.3: Eine weitere Stored-XSS-Schwachstelle mit möglicher Rechteausweitung.
- CVE-2026-92464 – CVSS 9.1: Unzureichende Eingabevalidierung, die zur Ausführung beliebigen Codes führen kann. Für die Ausnutzung sind bereits erhöhte Benutzerrechte erforderlich.
Zusätzlich wurden fünf Schwachstellen mit hohem Schweregrad und eine Schwachstelle mit mittlerem Schweregrad behoben.
Die weiteren Sicherheitsprobleme betreffen unter anderem die Umgehung von Sicherheitsmechanismen, unbefugte Dateisystemänderungen und Cross-Site-Scripting.
Welche Magento- und Adobe-Commerce-Versionen sind betroffen?
Laut Adobe betrifft das Sicherheitsbulletin APSB26-153 mehrere unterstützte Versionszweige.
Betroffen sind insbesondere:
- Adobe Commerce: Die Versionszweige 2.4.4 bis 2.4.9 einschließlich der Sicherheitsstände vom September 2026 und älterer Patchstände.
- Magento Open Source: Die Versionszweige 2.4.6 bis 2.4.9 einschließlich der Sicherheitsstände vom September 2026 und älterer Patchstände.
- Adobe Commerce B2B: Die betroffenen unterstützten Versionszweige 1.3.3, 1.3.4, 1.4.2, 1.5.2 und 1.5.3.
Entscheidend ist nicht ausschließlich die installierte Hauptversion.
Auch der tatsächlich installierte Sicherheits-Patchstand muss überprüft werden.
Ein Magento-Shop kann weiterhin verwundbar sein, obwohl bereits eine grundsätzlich unterstützte Version verwendet wird.
Welche Magento-Versionen sind sicher?
Adobe hat für Oktober 2026 neue Sicherheitsstände für die unterstützten Versionszweige veröffentlicht.
Für Magento Open Source sind folgende korrigierte Sicherheitsstände vorgesehen:
- Magento Open Source 2.4.7-2026-oct
- Magento Open Source 2.4.8-2026-oct
- Magento Open Source 2.4.9-2026-oct
Für Adobe Commerce stehen zusätzlich Sicherheitsupdates für die älteren unterstützten Versionszweige 2.4.4, 2.4.5 und 2.4.6 zur Verfügung.
Auch für Adobe Commerce B2B wurden entsprechende Oktober-Sicherheitsupdates veröffentlicht.
Wichtig: Adobe stellt die Oktober-Korrekturen als sogenannte Isolated Security Patches bereit.
Diese Patches können unabhängig von einem vollständigen regulären Versionsupgrade installiert werden.
Die jeweils erforderlichen früheren Sicherheits-Patches müssen jedoch bereits vorhanden sein beziehungsweise in der vorgesehenen Reihenfolge installiert werden.
Betreiber von Magento Open Source 2.4.6 sollten ihren Upgradepfad besonders sorgfältig prüfen, da Adobe für diesen Open-Source-Versionszweig keinen neuen Oktober-Sicherheitsstand in der offiziellen Lösungstabelle aufführt.
Werden die Magento-Sicherheitslücken bereits aktiv ausgenutzt?
Nach Angaben von Adobe liegen zum 14. Oktober 2026 keine bestätigten Erkenntnisse über eine aktive Ausnutzung der elf Schwachstellen aus APSB26-153 vor.
Das bedeutet jedoch nicht, dass betroffene Installationen ohne Sicherheitsupdate ausreichend geschützt sind.
Insbesondere die Magento Sicherheitslücke CVE-2026-103849 besitzt aufgrund ihrer technischen Eigenschaften ein erhebliches Gefährdungspotenzial.
Zusätzlich müssen Betreiber die bereits zuvor veröffentlichte Schwachstelle CVE-2026-75650 berücksichtigen.
Für CVE-2026-75650 hatte Adobe im September 2026 ausdrücklich bestätigt, dass Angriffe in freier Wildbahn beobachtet wurden.
Adobe weist deshalb darauf hin, dass der separate Hotfix für CVE-2026-75650 zusätzlich zu den Oktober-Sicherheitsupdates installiert werden muss.
Die Installation der neuen Oktober-Patches ersetzt diesen früheren Hotfix nicht.
Welche Maßnahmen sollten Magento-Betreiber jetzt ergreifen?
Vservs empfiehlt Betreibern von Magento- und Adobe-Commerce-Installationen folgende Maßnahmen:
- Die genaue Magento- beziehungsweise Adobe-Commerce-Version ermitteln.
- Den aktuellen Sicherheits-Patchstand überprüfen.
- Den passenden Oktober-2026-Sicherheitspatch über die offiziellen Adobe-Kanäle beziehen.
- Kontrollieren, ob alle erforderlichen früheren Isolated Patches installiert wurden.
- Den aktuellen Sicherheitspatch entsprechend den Adobe-Anweisungen installieren.
- Zusätzlich prüfen, ob der Hotfix für CVE-2026-75650 vorhanden ist.
- Nach der Aktualisierung den Bestellprozess, Zahlungsanbieter und installierte Erweiterungen testen.
- Verschlüsselungsschlüssel und zugehörige Zugangsdaten entsprechend den Adobe-Empfehlungen erneuern.
- Server- und Anwendungsprotokolle auf ungewöhnliche Aktivitäten überprüfen.
Bei produktiven Onlineshops sollten Sicherheitsupdates nach Möglichkeit zunächst in einer Test- oder Staging-Umgebung überprüft werden.
Die anschließende Installation auf dem Produktivsystem sollte jedoch nicht unnötig verzögert werden.
Magento-Version und Patchstatus überprüfen
Administratoren mit SSH-Zugang können die installierte Magento-Version über die Kommandozeile ermitteln.
Wechseln Sie dazu in das Magento-Installationsverzeichnis und führen Sie folgenden Befehl aus:
php bin/magento --versionDer Befehl zeigt die installierte Magento-Version an.
Wenn das entsprechende Adobe Commerce Version Tool installiert wurde, kann zusätzlich der Sicherheits-Patchstatus überprüft werden:
php vendor/bin/patch-statusDieser Befehl steht nur zur Verfügung, wenn das entsprechende Adobe-Werkzeug installiert ist.
Die Ergebnisse sollten mit dem offiziellen Adobe-Sicherheitsbulletin APSB26-153 und den zugehörigen Installationshinweisen abgeglichen werden.
Bei Adobe Commerce auf Cloud-Infrastruktur sollte außerdem geprüft werden, ob die erforderlichen Korrekturen bereits durch die aktuelle Cloud-Patches-Version enthalten sind.
Wird ein Isolated Patch zusätzlich installiert, obwohl die Korrektur bereits vorhanden ist, können Installationsfehler auftreten.
Magento-Installation auf mögliche Kompromittierung überprüfen
Ein Sicherheitsupdate verhindert die erneute Ausnutzung der behobenen Schwachstelle.
Bereits vorhandene Schadsoftware, Hintertüren oder unbefugte Änderungen werden dadurch jedoch nicht automatisch entfernt.
Betreiber potenziell betroffener Magento-Installationen sollten deshalb auch eine Sicherheitsüberprüfung durchführen.
Besonders wichtig sind folgende Kontrollen:
- Administratorkonten: Unbekannte Benutzer und unerwartete Änderungen an Berechtigungen überprüfen.
- Anwendungsdateien: Magento-Dateien auf unbefugte Änderungen untersuchen.
- Beschreibbare Verzeichnisse: Insbesondere pub/media und andere beschreibbare Verzeichnisse auf verdächtige PHP-Dateien kontrollieren.
- API-Zugänge: Unbekannte Integrationen und ungewöhnliche Zugriffstoken untersuchen.
- Webserver-Protokolle: Auffällige POST-Anfragen und ungewöhnliche Zugriffsmuster analysieren.
- Cronjobs: Geplante Aufgaben auf unbefugte Änderungen überprüfen.
- Netzwerkverbindungen: Ungewöhnliche ausgehende Verbindungen und mögliche Datenübertragungen untersuchen.
- Checkout: Zahlungsseiten und eingebundene JavaScript-Dateien auf unerlaubte Änderungen kontrollieren.
Diese Prüfungen dienen der allgemeinen Erkennung möglicher Kompromittierungen.
Es handelt sich nicht um spezifische, bestätigte Angriffssignaturen für CVE-2026-103849.
Bei einem konkreten Verdacht sollten relevante Protokolle und Beweismittel gesichert werden, bevor umfangreiche Bereinigungsmaßnahmen durchgeführt werden.
Warum ist die Sicherheit der Magento-Hostingumgebung wichtig?
Magento und Adobe Commerce sind leistungsfähige E-Commerce-Plattformen, die auf mehreren technischen Komponenten aufbauen.
Neben der eigentlichen Shopsoftware müssen auch das Betriebssystem, PHP, die Datenbank, der Webserver und weitere Dienste regelmäßig gewartet werden.
Veraltete Software, unzureichende Zugriffsrechte und fehlende Überwachung können die Auswirkungen einer erfolgreichen Attacke erheblich verstärken.
Eine professionell verwaltete Serverumgebung trägt dazu bei, unnötige Angriffsflächen zu reduzieren und verdächtige Aktivitäten frühzeitig zu erkennen.
Für geschäftskritische Onlineshops sind außerdem zuverlässige Backups, eine nachvollziehbare Updateplanung und regelmäßige Sicherheitskontrollen wichtig.
Professionelles Magento-Hosting mit Vservs
Vservs bietet professionell verwaltete Hosting-Infrastruktur für Unternehmen, Agenturen und Betreiber anspruchsvoller E-Commerce-Anwendungen.
Unsere Managed VPS Server bieten eine betreute Serverumgebung mit Betriebssystemwartung, Sicherheitsupdates, Monitoring und professionellem Infrastrukturmanagement.
Gerade bei Magento und Adobe Commerce ist es wichtig, dass die zugrunde liegende Serverumgebung regelmäßig aktualisiert und überwacht wird.
Die Installation von Magento-Sicherheitsupdates und die Wartung eingesetzter Erweiterungen bleiben dabei eigenständige Aufgaben, die ebenfalls zuverlässig durchgeführt werden müssen.
Die Kombination aus professionellem Servermanagement und zeitnahen Anwendungsupdates unterstützt einen sicheren und stabilen Betrieb geschäftskritischer Onlineshops.
Fazit
Die Magento Sicherheitslücke CVE-2026-103849 stellt aufgrund ihrer maximalen CVSS-Bewertung von 10.0 ein erhebliches Sicherheitsrisiko dar.
Mit dem Sicherheitsbulletin APSB26-153 behebt Adobe insgesamt elf Schwachstellen, darunter fünf kritische Sicherheitsprobleme.
Obwohl Adobe bislang keine aktive Ausnutzung dieser neu veröffentlichten Schwachstellen bestätigt hat, sollten betroffene Unternehmen die erforderlichen Sicherheitsupdates zeitnah installieren.
Zusätzlich muss sichergestellt werden, dass der separate Hotfix für die zuvor aktiv ausgenutzte CVE-2026-75650 weiterhin vorhanden ist.